.png)
Virksomheten er ansvarlig for at autorisasjoner tildeles, administreres og kontrolleres. Ved tildeling av autorisasjon skal lovbestemt taushetsplikt vurderes og ivaretas.
Dataansvarlig kan delegere myndighet for å tildele autorisasjon til den enkelte enhets leder. I dette ligger at leder, innen eget ansvarsområde, vurderer og godkjenner autorisasjonen. Tildelt autorisasjon skal sikre at medarbeideren kan få tilgang til nødvendige og relevante helse- og personopplysninger i samsvar med personellets ansvar og oppgaver, så langt lovbestemt taushetsplikt ikke er til hinder for det. Autorisasjonen skal vurderes på nytt når det oppstår endringer i ansvarsområder, ansettelsesforhold eller langvarig fravær.
Dersom tilgangsstyringen er basert på roller, skal autorisering skje for hver rolle uavhengig av medarbeiderens øvrige roller. Autorisasjonen for tilgang til behandlingsrettede helseregister skal tidsbegrenses og angi hvilke virksomheter autorisasjonen omfatter.
For autorisering av teknisk personell med særskilt behov for tilgang til større mengder helse- og personopplysninger skal det etableres tiltak slik at mulig misbruk skal kunne avdekkes.
For å hindre uautorisert tilgang skal følgende tiltak etableres:
Organisaation olisi perustettava ja ylläpidettävä valtuutusrekisteriä, jossa dokumentoidaan kaikki myönnetyt käyttöoikeudet. Rekisteriin olisi kirjattava kustakin valtuutuksesta käyttäjä, myönnetyt oikeudet, käyttöoikeuden hyväksynyt henkilö ja myöntämispäivä. Tämä rekisteri toimii keskitettynä pisteenä käyttöoikeuksien tarkastusta ja hallintaa varten.
Jokaisen valtuutuksen osalta rekisterissä olisi selvitettävä käyttöoikeuden tarkoitus ja siihen liittyvä rooli. Rekisteriin olisi kirjattava, milloin valtuutus on myönnetty ja milloin se on peruutettu. Rekisterissä olisi yksilöitävä käyttäjän organisaatio ja täsmennettävä, onko hänellä oikeus käyttää terveystietoja ulkopuolisissa organisaatioissa. Omakohtainen valtuutus olisi perusteltava, jos se on sallittu.
Tietojärjestelmästä vastaava taho määrittää järjestelmän käyttöoikeudet käyttäjien tehtäviin liittyen. Todellisten käyttöoikeuksien vastaavuutta suunniteltuun on valvottava ja oikeuksia uudelleenarvioitava säännöllisin aikavälein.
Pääsyoikeuksia katselmoitaessa on huomiotava lisäksi ylläpito-oikeuksien minimointi sekä tarpeettomien tunnusten sulkeminen.
Organisaatiolla tulisi olla määritelly ohjeet tietojärjestelmien yleisesti hyväksyttävälle käytölle sekä tarvittavien tunnistautumistietojen hallinnalle.
Tärkeäksi luokiteltujen tietojärjestelmien omistaja voi lisäksi määritellä, dokumentoida ja jalkauttaa tarkempia sääntöjä juuri tämän tietojärjestelmän käytöstä. Nämä saannöt voivat kuvata mm. tietoturvavaatimukset, jotka järjestelmän sisältävään tietoon liittyvät.
Organisaatio on määritellyt luottamuksellisen tiedon käsittelyalueet sekä toimintasäännöt, joita noudatetaan kaikessa luottamuksellisen tiedon käsittelyalueilla tapahtuvassa toiminnassa.
Toimintasäännöissä tulisi harkita seuraavien seikkojen huomiointia:
Organisaatio toteuttaa roolipohjaista pääsynhallintaa, jossa on ennakkoon määritetty eri suojattavalle omaisuudelle pääsyoikeusroolit, jotka oikeuttavat pääsyn. Roolien tiukkuuden tulisi heijastaa omaisuuteen liittyviä tietoturvariskejä.
Määrittelyn tueksi pitää harkita seuraavia asioita:
Ylläpito-oikeuksia hallitaan muodollisen prosessin avulla, jonka tavoitteena on rajata ylläpito-oikeuksien jakamista ja valvoa käyttöä.
Ylläpito-oikeuksiin liittyen:
Korkean luottamuksellisuuden käyttöoikeuksiin liittyvien käyttöoikeuksien myöntämisen organisaatiossa voi hyväksyä vain kyseisen korkean luottamuksellisuuden omaavan tiedon sisäinen omistaja.
Varmistaakseen valtuutettujen käyttäjien pääsyn järjestelmiin ja estääkseen luvattoman pääsyn, organisaatio on määritellyt muodolliset prosessit seuraaviin asioihin:
Näiden asioiden toteuttaminen tulee toteutua aina määritellyn, muodollisen prosessin kautta.
Digiturvamallissa kaikki vaatimuskehikkojen vaatimukset kohdistetaan universaaleihin tietoturvatehtäviin, jotta voitte muodostaa yksittäisen suunnitelman, joka täyttää ison kasan vaatimuksia.
.png)
Aloita ilmaiseksi tutussa Microsoft Teams -ympäristössä.
Jos sinulla on kysymyksiä, varaa palaveri sinulle sopivaan ajankohtaan.
.svg)
.svg)
